Sophos Firewall DHCP-opties (SFOS)

DHCP-opties zijn nodig op de Sophos Firewall wanneer clients bij het opstarten meer moeten ontvangen dan alleen een IP-adres, gateway en DNS. Typische gevallen zijn PXE, WDS, Thin Clients, VoIP-telefoons of oudere RED-omgevingen, waarbij een specifieke optiecode en gegevenstype exact moeten passen.

SFOS 22 ondersteunt vooraf gedefinieerde en eigen DHCP-opties rechtstreeks in WebAdmin. Dit is de standaardroute voor nieuwe configuraties. De hieronder getoonde Device Console-syntaxis voor het definiëren en koppelen van opties is eveneens gedocumenteerd voor SFOS 22. De waarden voor Thin Client, WDS en RED zijn daarentegen omgevingsspecifieke voorbeelden en moeten vóór gebruik bij het doelsysteem passen.

Wat DHCP-opties zijn

DHCP distribueert niet alleen een IP-adres. Samen met de lease kan de DHCP-server extra informatie aan de client doorgeven. Daarvoor zijn DHCP-opties bedoeld. Typische voorbeelden zijn DNS-servers, gateway, TFTP-server, bootfile-naam, vendor-specifieke parameters of waarden voor Thin Clients en telefoons.

Op de Sophos Firewall behoren DHCP-opties altijd tot de DHCP-server of de scope die de lease uitgeeft. Dit is belangrijk: als een client zijn adres van een andere DHCP-server ontvangt, moet de optie daar worden geconfigureerd. Als de Sophos Firewall alleen als DHCP Relay fungeert, stuurt deze DHCP-verzoeken door, maar is het niet de plek waar de optie voor deze scope wordt beheerd.

Voor IPv6 moet DHCP niet altijd op dezelfde manier worden behandeld als bij IPv4. Wanneer een provider een IPv6-prefix delegeert, horen Router Advertisement, DHCPv6-parameters en firewallregels bij elkaar. De procedure is beschreven in IPv6 Prefix Delegation op Sophos Firewall configureren.

In de praktijk moet men voor de configuratie drie dingen verduidelijken:

• Welke DHCP-server verdeelt de lease daadwerkelijk?
• In welke scope of op welke interface bevindt zich de client?
• Welke optiecodes, gegevenstypen en waarden vereist de fabrikant van het doelsysteem?

Vereisten

• Sophos Firewall met geactiveerde DHCPv4-server
• Toegang tot Network > DHCP
• Een DHCP-scope op de juiste interface
• De benodigde DHCP-optiecodes en waarden van de fabrikant of het doelsysteem
• Voor CLI-fallbacks: toegestane SSH-toegang tot de Sophos Firewall

Voor de wijziging moet men de betreffende scope kort controleren. DHCP-opties werken alleen betrouwbaar als ze op de juiste DHCP-server, in het juiste netwerk en met het juiste gegevenstype zijn ingesteld.

• DHCP-server: De Sophos Firewall moet de lease zelf uitgeven. Bij DHCP Relay horen de opties normaal gesproken op de centrale DHCP-server.
• Scope en interface: Een client in het verkeerde VLAN of op een andere interface ziet de optie niet, zelfs als deze correct is opgeslagen.
• Optiecode en gegevenstype: Veel fouten ontstaan omdat een client string, ipaddress, array-of of een vendor-waarde anders verwacht dan ingevoerd.
• Testclient: Een bekend apparaat in het betreffende netwerk maakt zichtbaar of de optie echt in het DHCP-aanbod of ACK aankomt.
• Wijzigingsvenster: PXE, telefoons en Thin Clients kunnen direct worden beïnvloed bij het wisselen van de lease. Wijzigingen moeten daarom gecontroleerd worden getest.

Als de optie relevant is voor productieve apparaten, moet van tevoren duidelijk zijn hoe men deze weer verwijdert of terugzet naar de oude waarde. Dit geldt vooral voor boot-opties, provisioning-servers en fabrikantspecifieke vendor-opties.

1. DHCP-server maken of controleren

Om DHCP-opties te kunnen distribueren, is eerst een DHCPv4-server op Sophos Firewall nodig. De volledige basisconfiguratie met adresbereik, gateway, DNS, leasetijd en test staat in Sophos Firewall als DHCP-server configureren. Daarna wordt de server onder Network > DHCP bewerkt.

Belangrijk is vooral:

• De DHCP-server is aan een interface toegewezen.
• De scope past bij het netwerk waarin de clients zich bevinden.
• DNS-servers, gateway en lease-tijd zijn correct ingesteld.
• De DHCP-naam bevat geen onnodige spaties of speciale tekens.
• PXE-, VoIP-, Thin Client- of RED-bijzonderheden zijn vooraf gedocumenteerd.

Vooral de DHCP-naam is relevant bij CLI-commando’s. Als de naam spaties of speciale tekens bevat, worden latere commando’s en runbooks onnodig foutgevoelig. Begrijpelijke namen zoals DHCP_Server_Avanet_LAN, Home_Scope of DHCP_VoIP zijn in de praktijk eenvoudiger.

2. DHCP-opties in WebAdmin configureren

Zodra de DHCPv4-server is aangemaakt, kunnen de opties direct in hetzelfde dialoogvenster worden toegevoegd.

1. Open Network > DHCP.
2. Bewerk de bestaande DHCPv4-server of maak een nieuwe server aan.
3. Ga naar het gedeelte DHCP options.
4. Voeg een optie toe.
5. Zet bij eigen opties Options op Custom en voer Code, Type en Value in.
6. Sla de wijzigingen op.
7. Controleer met een testclient of de optie daadwerkelijk wordt overgenomen.

De velden betekenen:

• Predefined options: Kies uit de door SFOS aangeboden DHCP-opties en standaardwaarden. Gebruik voor eigen opties de optiecode en het datatype uit de actuele documentatie van de clientfabrikant of het IANA-register.
• Code: Numerieke DHCP-optiecode, bijvoorbeeld 66, 67, 161 of een leveranciersspecifieke waarde.
• Type: Datatype waarmee Value wordt gecodeerd, bijvoorbeeld IP address, String, Boolean of een van de numerieke en arraytypen uit de lijst.
• Value: De concrete waarde die de client moet ontvangen, bijvoorbeeld een IP-adres, hostname, pad of poort.

De juiste waarden worden meestal geleverd door de fabrikant van het doelsysteem. Vooral bij stringwaarden, padvermeldingen of vendor-specifieke opties is een controle in de fabrikantdocumentatie de moeite waard. Een formeel opgeslagen waarde betekent nog niet automatisch dat de client deze ook zo interpreteert als verwacht.

In SFOS 22 is het volledige pad voor een nieuwe scope Network > DHCP > Server > Add. Open voor een bestaande scope de bewerkingsactie en daarna DHCP options. Vooraf gedefinieerde opties gebruiken de waarden die SFOS aanbiedt. Bij een aangepaste optie moeten Code, Type en Value overeenkomen met de actuele documentatie van de client of fabrikant. De officiële tabel onderscheidt onder meer String, IP address, Boolean en numerieke waarden of arrays van verschillende grootte.

Voor het controleren van de referentie maakt de SFOS 23-help onderscheid tussen DHCPv4-opties in Appendix A en DHCPv6-opties in Appendix B. Beide tabellen onderscheiden Data type, Data format en Data value (example) en vermelden de bijbehorende RFC. Het datatype alleen is dus niet voldoende: ook het formaat van de waarde moet bij de optie passen. De voorbeeldwaarden zijn geen voorgeschreven instellingen voor het eigen netwerk. Neem DHCPv4-optiecodes en waarden niet ongewijzigd over voor DHCPv6; controleer daarvoor de bijbehorende DHCPv6-toewijzing. De uitgebreidere referentietabellen bewijzen niet dat een optie pas met SFOS 23 is ingevoerd.

XML API: versie en IP-familie afzonderlijk controleren

Wie DHCP-opties via de XML API automatiseert, moet de Add/Edit-referentie voor de gebruikte SFOS-versie en de juiste IP-familie gebruiken. In de voorbeelden staan OptionName, OptionType, OptionCode en OptionValue samen in een genest optie-item van de DHCP-server. Dit is geen CLI-optiedefinitie en geen CLI-binding.

• IPv4: De Add/Edit-tabellen voor SFOS 22 en 23 vermelden voor OptionCode het bereik van 1 tot en met 255. Bij OptionType bevat de SFOS 22-tabel noch fqdn noch empty; de SFOS 23-tabel bevat beide tokens aanvullend.
• IPv6: De Add/Edit-tabellen voor SFOS 22 en 23 vermelden voor OptionCode het bereik van 1 tot en met 65535. Bij OptionType vermeldt SFOS 22 al fqdn, maar geen empty; SFOS 23 bevat daarnaast empty. Het in SFOS 22 voor IPv6 vermelde fqdn mag daarom niet worden overgenomen als bewijs voor hetzelfde XML-type bij IPv4 onder SFOS 22.

XML-tokens en CLI-typenamen behoren tot afzonderlijke syntaxis: de IPv4-XML-tabel vermeldt bijvoorbeeld ipaddr, terwijl de hieronder gedocumenteerde Device Console-syntaxis optiontype ipaddress gebruikt. XML-waarden voor OptionType worden daarom niet zonder controle als CLI-typenamen gebruikt; de syntaxis van de geïnstalleerde versie blijft bepalend.

Een vermeld XML-type en een toegestaan codebereik bewijzen niet dat elke combinatie van code, type en waarde voor elke client of elke SFOS-build wordt ondersteund. Controleer vóór een wijziging in de automatisering de concrete optie en het bijbehorende formaat aan de hand van de passende referentie en de documentatie van de client of fabrikant, en leg de bestaande scopeconfiguratie vast voor de rollback. Uit het token empty volgt noch een specifieke codering op het netwerk, noch of OptionValue leeg moet zijn, moet worden weggelaten of anders moet worden weergegeven. De tabellen alleen leveren daarvoor geen uitvoerbare wijzigingspayload; dergelijke waarden of XML-structuren worden niet op basis van giswerk ingevuld. De bestaande gecontroleerde client- en pakketcontroles blijven belangrijk, maar vervangen geen onderbouwde syntaxis.

Wijziging en rollback voorbereiden

Leg vóór Save elke betrokken rij vast met optie, code, type en oude waarde. Test eerst op één gecontroleerde scope. Als de test mislukt, bewerk dan dezelfde DHCPv4-server, verwijder alleen de nieuwe rij of herstel de vastgelegde oude waarde en sla op. Vernieuw daarna opnieuw de lease van de testclient en controleer in de DHCP Offer of ACK of de beginsituatie weer wordt geleverd. Verwijder een globale optiedefinitie niet overhaast via de CLI: een andere DHCP-server kan deze nog gebruiken.

3. Typische toepassingsgevallen

DHCP-opties zijn meestal nodig wanneer een client bij het opstarten extra informatie nodig heeft. Veelvoorkomende gevallen zijn PXE, WDS, Thin Clients, VoIP-telefoons, access points of enkele legacy-scenario’s.

PXE en WDS

Voor PXE- of WDS-omgevingen worden vaak de opties 66 en 67 gebruikt:

• 66 verwijst naar de TFTP- of deployment-server.
• 67 bevat de bootfile-naam.

Als de client de server bereikt maar niet opstart, ligt het probleem vaak niet bij de firewall, maar aan een verkeerd bestandspad, een ongeschikt gegevenstype of een ongeschikt architectuurbestand. Bij UEFI- en BIOS-clients zijn vaak verschillende bootfiles nodig.

Belangrijk bij huidige SFOS-versies: Next-server en Boot file zijn aparte boot option-velden in de DHCPv4-server. Sinds SFOS 20.0 MR1 worden ze niet meer automatisch alleen als DHCP-opties 66 en 67 behandeld. Als een apparaat expliciet optie 66 of 67 verwacht, moeten deze waarden bewust onder DHCP options worden beheerd en niet alleen in de boot option-velden worden ingevuld.

Bij upgrades naar SFOS 20.0 MR1 of nieuwer blijven bestaande Next-server- en Boot file-waarden behouden als boot options en daarnaast als DHCP-opties 66 en 67. Na een migratie moet men daarom controleren of waarden dubbel aanwezig zijn en of de client de verwachte variant gebruikt.

SFOS accepteert in Next-server een IP-adres of FQDN, maar geen URL. Boot file vereist het volledige pad inclusief de bestandsnaam. Beide waarden moeten passen bij de daadwerkelijk gebruikte bootserver en de clientarchitectuur.

Voor een PXE-client die de bootinformatie uit de DHCP-header leest, configureert men de velden als volgt:

1. Bewerk onder Network > DHCP > Server de betrokken DHCPv4-server. Kies voor een nieuwe scope Add en configureer eerst interface, adresbereik, gateway en DNS voor het clientnetwerk.
2. Leg de eerdere waarden onder Boot options en eventuele rijen 66/67 onder DHCP options vast voor de rollback.
3. Stel onder Boot options bijvoorbeeld Next-server in op 192.168.10.3 en Boot file op boot.ipxe. Vervang het adres door dat van de TFTP-server die de client kan bereiken, en het pad door dat van het daar beschikbare bootbestand dat bij de clientarchitectuur past. boot.ipxe is alleen geschikt als dat bestand daadwerkelijk deel uitmaakt van het eigen bootontwerp.
4. Kies Save en start de gecontroleerde PXE-testclient opnieuw op of vernieuw zijn lease.

Sinds SFOS 20.0 MR1 vullen deze velden de bootserver- en bootbestandsgegevens in de afzonderlijke DHCP-header in, niet de getagde optiewaarden onder DHCP options. Controleer daarom in de header van de Offer of ACK de gekozen server en het bestandspad. Als de client expliciet opties 66 en 67 vereist, configureer die dan afzonderlijk en controleer het optiegedeelte van het pakket. Controleer vervolgens in het TFTP/PXE-log of de client het juiste bestand opvraagt. Als de test mislukt, herstel dan de vastgelegde bootvelden en alleen de betrokken optierijen in dezelfde scope, sla op en test opnieuw.

Thin Clients

Thin Clients hebben afhankelijk van de fabrikant opties nodig voor managementservers, imageservers of verbindingsparameters. In oude runbooks vindt men daarvoor bijvoorbeeld:

• 161 voor de server
• 192 voor een poort of extra parameters

Of deze codes correct zijn, hangt af van de fabrikant en het gebruikte Thin Client-model. Daarom moet men de codes niet blind overnemen, maar altijd controleren aan de hand van de fabrikantdocumentatie.

Avaya IP-telefoons als concreet fabrikantvoorbeeld

De SFOS 22-help gebruikt opties 176 en 252 als String-waarden voor Avaya-telefoons. De vermelde IP-adressen en poort zijn alleen documentatiewaarden en moeten worden vervangen door de werkelijke communicatie-, TFTP- en HTTP-servers in de omgeving:

Option 176, String: MCIPADD=192.168.30.99,MCPORT=1719,TFTPSRVR=192.168.30.201
Option 252, String: ConfigHttpSrvr=192.168.30.102

Bewerk in WebAdmin de telefoonscope onder Network > DHCP > Server. Kies onder DHCP options voor elke rij Custom en voer Code (176 of 252), Type (String) en de bijbehorende tekenreeks als Value in. Leg vóór Save de eerdere rijen vast en controleer deze afhankelijkheden:

• MCIPADD is het IP-adres van de Avaya-callserver waarop de telefoons zich registreren; hier 192.168.30.99.
• MCPORT is de registratiepoort van die callserver; het gedocumenteerde Avaya-voorbeeld gebruikt 1719. Configureer een afwijkende poort eerst op de Avaya-server. Alleen de DHCP-tekenreeks wijzigen is niet voldoende; deze poort is geen universele SIP-instelling voor elk telefoonmodel.
• TFTPSRVR verwijst naar de TFTP-server, hier 192.168.30.201. In de gedocumenteerde Avaya-werkwijze gebruiken telefoons deze voor automatische firmware-updates wanneer ze een nieuwer configuratiebestand ontvangen dan het bestaande. Controleer daarom vóór de test de beschikbare bestanden en het updategedrag van het specifieke telefoonmodel: een andere TFTP-bestemming kan ook provisioning of updates veranderen.
• ConfigHttpSrvr verwijst naar de HTTP-configuratieserver, hier 192.168.30.102, niet automatisch naar de callserver op .99. Optie 252 is gereserveerd voor privégebruik; de betekenis van deze tekenreeks is fabrikantspecifiek.

Controleer na het vernieuwen van de lease in de DHCP Offer of ACK of de client precies deze tekenreeksen ontvangt. Daarna moeten de telefoon- en serverlogs bevestigen dat het apparaat de bedoelde services daadwerkelijk gebruikt. Dit voorbeeld is geen universele Avaya-configuratie.

Oudere RED-bijzonderheden

In oudere omgevingen waren er gevallen waarin bij een Sophos RED 15w het geïntegreerde access point niet correct werd herkend. Daarvoor werd soms een fabrikantspecifieke DHCP-optie gebruikt, bijvoorbeeld met optiecode 234 en een waarde zoals 10.10.10.12.

Dit is geen algemene standaard voor moderne SD-RED-installaties. Als legacy-voorbeeld is het echter nog steeds nuttig, omdat het laat zien hoe eigen optiecodes worden gedefinieerd en aan een DHCP-server worden gekoppeld.

Voor actuele RED-ontwerpen is het artikel Sophos SD-RED instellen en problemen oplossen nuttiger. Als het gaat om interface-, VLAN-, bridge- of RED-ontwerpen, helpt daarnaast Sophos Firewall Zones en Interfaces plannen en configureren.

4. DHCP Relay juist begrijpen

Bij DHCP Relay stuurt de Sophos Firewall clientverzoeken door naar een server in een ander netwerk. DHCP-opties worden daarom beheerd op de server die de lease uitgeeft, niet op de relay-firewall.

De interfacekeuze, meerdere servers, lokale netwerken en policy-based of route-based IPsec worden met voorbeeldwaarden, regels, opdrachten en Packet Capture beschreven in Sophos Firewall DHCP Relay instellen en testen.

5. De CLI gecontroleerd gebruiken

SFOS 22 documenteert nog steeds beide CLI-stappen: een optie definiëren met system dhcp dhcp-options add en deze aan een DHCP-server binden met system dhcp dhcp-options binding add. Het actuele Device Console-overzicht vat het commando slechts beknopt samen; de officiële Avaya-handleiding toont de volledige syntaxis. WebAdmin blijft overzichtelijker voor nieuwe standaardconfiguraties, terwijl de CLI vooral nuttig is voor bestaande runbooks, supportgevallen en gecontroleerde migraties.

Overweeg de Device Console alleen wanneer:

• een oud artikel of ouder runbook al op CLI-commando’s is gebaseerd
• ongebruikelijke vendor-opties moeten worden getest
• men in een supportgeval precies wil zien welke bindings intern zijn opgeslagen
• een omgeving is overgenomen van een zeer oude SFOS-versie
• een commando in een documentatie moet worden nagebouwd of gecontroleerd

Als syntaxis nodig is die voor de geïnstalleerde versie is bevestigd, lees dan eerst SSH met de Sophos Firewall verbinden. Gebruik na het inloggen 4. Device Console, niet Advanced Shell. Maak vóór elke wijziging een back-up van de huidige webinterfaceconfiguratie en de bestaande bindings.

CLI-basisprincipe: Optie definiëren en binden

Bij de CLI-configuratie zijn er twee stappen:

1. De DHCP-optie wordt gedefinieerd.
2. De optie wordt aan een DHCP-server gebonden en krijgt daar een waarde.

Eerst wordt de optie gedefinieerd:

system dhcp dhcp-options add optioncode <CODE> optionname <NAME> optiontype <TYPE>

optioncode, optionname en optiontype zijn vaste sleutelwoorden en blijven in het commando staan. Vervang alleen de placeholders tussen punthaken; voer de punthaken zelf niet in:

• <CODE>: numerieke DHCP-optiecode
• <NAME>: vrij gekozen naam van de optie
• <TYPE>: gegevenstype, bijvoorbeeld ipaddress of string

Voorbeeld voor een IP-adres als DHCP-optie:

system dhcp dhcp-options add optioncode 234 optionname dhcp_magic_ip optiontype ipaddress

Daarna wordt de optie aan een DHCP-server gebonden:

system dhcp dhcp-options binding add dhcpname <DHCP_NAME> optionname <NAME>(<CODE>) value <VALUE>

Ook dhcpname, optionname en value blijven vaste sleutelwoorden. Vervang de volgende placeholders door de eigen waarden en behoud de ronde haakjes om de code:

• <DHCP_NAME>: naam van de DHCP-server uit de Sophos Firewall-configuratie
• <NAME>(<CODE>): naam van de eerder gedefinieerde optie met de code tussen ronde haakjes, bijvoorbeeld dhcp_magic_ip(234)
• <VALUE>: waarde die aan clients moet worden gedistribueerd

Voorbeeld:

system dhcp dhcp-options binding add dhcpname dhcp_red_avanet optionname dhcp_magic_ip(234) value 10.10.10.12

6. CLI-voorbeelden

De syntaxis voor het definiëren en binden van opties is officieel gedocumenteerd in de actuele Avaya-handleiding voor SFOS 22. De onderstaande Thin Client-, WDS- en RED-waarden zijn daarentegen omgevingsspecifieke voorbeelden: de optiecode, het gegevenstype en de inhoud moeten vóór gebruik worden gecontroleerd aan de hand van de actuele fabrikantdocumentatie.

Avaya: volledig CLI-voorbeeld voor SFOS 22

Voor het Avaya-voorbeeld kan men beide stappen combineren met zelfgekozen objectnamen, zoals hieronder. De SFOS 22-handleiding documenteert deze CLI-werkwijze; de SFOS 23-handleiding beschrijft alleen WebAdmin. Dat bewijst niet dat de CLI in SFOS 23 ontbreekt. Controleer vóór gebruik de syntaxis van de geïnstalleerde versie en de bestaande definities en bindings; deze commando’s wijzigen de configuratie. Vervang IPPhone_DHCP door de daadwerkelijke telefoonscope. Avaya176 en Avaya252 zijn vrij gekozen namen; maak een geschikte bestaande definitie niet opnieuw aan en gebruik bij het binden de exacte naam daarvan. Pas de tekenreeksen aan zoals uitgelegd in het Avaya-gedeelte en geef elke tekenreeks als één waarde tussen rechte enkele aanhalingstekens door:

system dhcp dhcp-options add optioncode 176 optionname Avaya176 optiontype string
system dhcp dhcp-options binding add dhcpname IPPhone_DHCP optionname Avaya176(176) value 'MCIPADD=192.168.30.99,MCPORT=1719,TFTPSRVR=192.168.30.201'
system dhcp dhcp-options add optioncode 252 optionname Avaya252 optiontype string
system dhcp dhcp-options binding add dhcpname IPPhone_DHCP optionname Avaya252(252) value 'ConfigHttpSrvr=192.168.30.102'

Controleer vervolgens de lease van de testtelefoon en het gebruik van de services. Herstel bij problemen alleen de betrokken scope in WebAdmin naar de vastgelegde beginsituatie, in plaats van globale definities te verwijderen.

Thin Client Server

Met deze optie wordt aan een Thin Client meegedeeld op welke server het image of de managementcomponent zich bevindt:

system dhcp dhcp-options add optioncode 161 optionname ThinClientServer optiontype ipaddress
system dhcp dhcp-options binding add dhcpname DHCP_Server_Avanet_LAN optionname ThinClientServer(161) value '10.10.10.12'

Als er daarnaast een poort nodig is, kan deze als string worden ingesteld:

system dhcp dhcp-options add optioncode 192 optionname ThinClientServerPort optiontype string
system dhcp dhcp-options binding add dhcpname DHCP_Server_Avanet_LAN optionname ThinClientServerPort(192) value '443'

WDS en PXE

Een DHCP-optiewaarde voor de WDS- of TFTP-server kan zo worden ingesteld:

system dhcp dhcp-options binding add dhcpname Home_Scope optionname TFTP_Server_Name(66) value 172.16.16.11

De bootfile-naam voor de pre-omgeving wordt als optie 67 meegegeven:

system dhcp dhcp-options binding add dhcpname Home_Scope optionname Bootfile_Name(67) value \boot\x64\wdsnbp.com

Met pre-omgeving wordt de bootomgeving bedoeld waarmee een client tijdens de installatie of herstel start. Afhankelijk van de omgeving kan het benodigde pad variëren, vooral bij UEFI, BIOS, 32-bit- en 64-bit-clients.

Bestaande opties weergeven

Voor wijzigingen moet men bestaande opties weergeven:

system dhcp dhcp-options list

De officiële SFOS 22-handleiding vermeldt voor DHCPv4 dat de firewall optieobjecten van 1 tot en met 255 ondersteunt, maar dat dit CLI-commando alleen de opties 1 tot en met 76 weergeeft. Voor codes, typen en codering blijven Appendix A, het IANA-register en de documentatie van de client of fabrikant bepalend.

Bindings van een DHCP-server weergeven:

system dhcp dhcp-options binding show dhcpname DHCP_Server_Avanet_LAN

Hoewel het actuele commando-overzicht de actie delete noemt, is globale verwijdering standaard geen veilige rollback: andere DHCP-servers kunnen de definitie gebruiken. Herstel voor één scope in plaats daarvan de vastgelegde vorige toestand in WebAdmin.

7. Typische foutbronnen

Wanneer een DHCP-optie is opgeslagen maar niet zoals verwacht op de client werkt, ligt het vaak aan een van deze punten:

• Verkeerde DHCP-server reageert op het verzoek.
• Verkeerde scope of verkeerde interface is bewerkt.
• Gegevenstype komt niet overeen met de verwachte waarde.
• IP-adres, FQDN, poort of pad is verkeerd getypt.
• Bootfile-pad komt niet overeen met de clientarchitectuur.
• Client verwacht een string, maar de optie is als IP-adres ingesteld.
• Fabrikant gebruikt vendor-specifieke opties die extra parameters vereisen.
• Lease is na de wijziging niet vernieuwd.
• DHCP Relay wordt gebruikt, hoewel de optie op de Sophos Firewall is beheerd.

Na een wijziging moet men de lease op de testclient vernieuwen en controleren of de client de verwachte opties daadwerkelijk ontvangt. Als het gedrag nog steeds niet klopt, is een pakketopname vaak sneller dan lang raden: in de DHCP-pakketten ziet men welke server antwoordt en welke opties daadwerkelijk worden geleverd.

8. Wijziging testen

Na het opslaan van een DHCP-optie moet men niet alleen wachten tot de volgende client op een gegeven moment een nieuwe lease haalt. Beter is een gecontroleerde test met een bekend apparaat in het betreffende netwerk.

Zinvolle procedure:

1. Sluit de testclient aan in het juiste VLAN of interface.
2. Vernieuw de oude lease of start de client opnieuw op.
3. Controleer welk DHCP-adres, gateway, DNS-server en extra opties zijn aangekomen.
4. Test het doelsysteem, bijvoorbeeld PXE-boot, WDS-start, Thin Client-registratie of telefoonprovisioning.
5. Controleer in WebAdmin of de lease in de verwachte DHCP-scope verschijnt.
6. Als het resultaat niet klopt, controleer dan met Packet Capture welke DHCP-server antwoordt en welke opties in het aanbod of ACK zijn opgenomen.

Voor een nauwkeurige opname is meestal een filter op UDP 67 en 68 tussen client en DHCP-server voldoende. De bediening van het WebAdmin-hulpmiddel is beschreven in Sophos Firewall Packet Capture in WebAdmin gebruiken.

Bij PXE- en WDS-tests moet men daarnaast documenteren of de testclient BIOS of UEFI gebruikt. Veel opstartproblemen ontstaan niet door DHCP zelf, maar door een bootfile die niet bij de architectuur past.

9. Probleemoplossing op basis van symptomen

Wanneer DHCP-opties niet werken, helpt een symptoomgerichte controle vaak sneller dan het opnieuw aanmaken van dezelfde optie.

• Client ontvangt geen IP-adres: DHCP-server, VLAN, interface of relay klopt niet; Lease-lijst, interface, VLAN en DHCP-relay controleren
• Client ontvangt IP, maar geen optie: verkeerde scope of verkeerde DHCP-server reageert; Packet Capture op DHCP-aanbod/ACK controleren
• PXE vindt server, maar start niet op: Optie 67, bestandspad of architectuur klopt niet; BIOS/UEFI-bootfile en TFTP/WDS-log controleren
• Thin Client verbindt niet: verkeerde optiecode, type of fabrikantwaarde; Fabrikantdocumentatie en geleverde waarde vergelijken
• Wijziging werkt pas later: Client gebruikt oude lease; Lease vernieuwen, client opnieuw opstarten of lease-tijd in acht nemen
• CLI-commando werkt niet: verkeerde DHCP-naam, optienaam of haakjesnotatie; system dhcp dhcp-options list en binding-uitvoer controleren

Als in de opname een andere DHCP-server antwoordt, moet eerst het netwerkontwerp worden verduidelijkt. Twee DHCP-servers in hetzelfde broadcastdomein zijn een klassieke oorzaak voor wisselend gedrag. Bij complexere VLAN-, bridge- of interfacevragen helpt Sophos Firewall Zones en Interfaces plannen en configureren.

Veelgestelde vragen